Mayhem — rünnak, mis moonutab mälu bitte autentimise ümbersuunamiseks SUDO ja OpenSSH-s

Worcester Polytechnic Institute (USA) teadlased esitlesid uut Mayhem rünnaku tüüpi, mis kasutab Rowhammer mälu dünaamilise rikka bitimuutmise meetodit, et muuta muutujate väärtusi, mida kasutakse programmi sissepääsu puhul otsuste tegemiseks autentimise eduks ja turvavarude läbimiseks. Rünnaku praktilisi näiteid demonstreeritakse SUDO, OpenSSH ja MySQL autentimise ringkäigu ning OpenSSL turvaauditi tulemuste muutmise jaoks.

Rünnakut saab rakendada rakendustele, kus kontrollides kasutatakse nullist erinevate väärtuste võrdlemist. Näide haavatavast koodist: int auth = 0; … // kontrollikood, mis muudab auth väärtuse, kui autentimine õnnestub if(auth != 0) return AUTH_SUCCESS; else return AUTH_FAILURE;

Selle näite kontekstis on eduka rünnaku jaoks piisav, kui saavutada mälus mis tahes bitti, mis kuulub 32-bitisele auth muutujale, tasemel. Kui mõni bitti muudetakse, ei ole selle väärtus enam null ja tingimuslaused määravad autentimise eduka lõpuni. Sellised kontrollistruktuurid on rakendustes üsna levinud ja neid esineb näiteks SUDO, OpenSSH, MySQL ja OpenSSL.

Rünnakut saab rakendada ka kontrollidele nagu 'if(auth == 1)', kuid sellisel juhul on selle teostamine keerulisem, kuna on vajalik viimane bit muuta, mitte lihtsalt ükskõik milline 32-st. Meetodit saab samuti kasutada registrite muutujate väärtuste mõjutamiseks, kuna register võib konteksti vahetuse, funktsioonide kutsumise või signaalitöötleja aktiveerimise ajal ajutiselt mälu jaoks tagasi lasta. Selle aja jooksul, mil registrite väärtused on mälus, on võimalik neisse muutusi sisse viia ja registrisse taastatakse muudetud väärtus.

Bitide moonutamiseks kasutatakse RowHammer klassi rünnaku üht muudetud versiooni. Kuna DRAM mälu on kaheulatuseline lahtrite kogum, millest igaühes on kondensaator ja transistor, toob pidev sama mäluala lugemine kaasa pingefluktatsioonid ja anomaaliad, mis põhjustavad naaberlahtreid väikese laadimise kadumise. Kui lugemise intensiivsus on suur, võib naaberlahtre kaotada piisavalt suures koguses laengut ja järgmine regenereerimis Tsükkel ei suuda taastada selle algset seisundit, mis toob kaasa salvestatud andmete väärtuse muutumise. RowHammeri eest kaitsmiseks on kiibitootjad lisanud mehhanismi TRR (Target Row Refresh), mis blokeerib lahtreid moonutamise harvadel juhtudel, kuid ei kaitse kõigi võimalike rünnakute variantide eest.

Mayhem rünnaku vältimiseks soovitatakse, et võrdluste puhul ei kasutataks nulliga erinevuste hindamist ega ühtsuse kontrollimist, vaid sobiva väärtuse saamiseks kasutatakse randomiseeritud suhtumist, millel on mitte-null oktetid. Sel juhul on vajalik täpselt moonutada märkimisväärset arvu bitte, mis on ebarealistlik võrreldes ühe biti moonutamisega. Näide rünnakute suhtes mittehaavatavast koodist: int auth = 0xbe406d1a; ... // kontrollikood, mis seab auth väärtusele 0x23ab8701 eduka autentimise korral if(auth == 0x23ab8701) return AUTH_SUCCESS; else return AUTH_FAILURE;

Antud kaitsemeetod on juba rakendatud sudo arendajate poolt ning see on kaasatud väljaandes 1.9.15 kui parandus haavatavusele CVE-2023-42465. Rünnaku prototüüp kood kavandatakse avaldamiseks pärast paranduste tegemist peamistes haavatavates projektides.

Allikas: opennet.ru